Nexus 3 任意修改admin密码越权漏洞

个人博客：https://blog.gxzhang.cn

请大家多多关照呀

0x01

编号：CVE-2020-11444

漏洞影响版本范围和危害是和CVE-2020-10199、CVE-2020-10204前后一个月时间出现的，爆出了10199和10204后面的一个补丁修复之后，再次爆出的11444漏洞。

Nexus 3 任意修改admin密码越权漏洞，可以用低权限用户登录获取sessionID越权进行修改admin用户的密码

0x02

首先，通过CVE-2020-10199登录admin用户可以获取到sessionID

python3 cve-2020-10199_cmd.py http://127.0.01:8081 admin exphub

 

在这里还是复现了一下之前cve-2020-11444的漏洞远程命令执行漏洞利用

python3 cve-2020-11444_exp.py http://ip:8081 6c012a5e-88d9-4f96-a05f-3790294dc49a "touch /tmp/233"

 

0x03

同时我们在浏览器登录进去我们本地搭建好的Nexus 3 直接在管理员界面创建一个test用户，版本也是在漏洞版本范围之内。

然后登录到test用户同样的会在cookie里面可以看到已经登录进来的sessionID，也就是我们的test低权限用户。

这个sessionID大概也就是10分钟左右的一个有效时间，所以我们根据前面CVE-2020-10199获取sessionID来保证目前所用的test低权限用户的sessionID存活。

python3 cve-2020-11444_exp.py http://ip:8081 6c012a5e-88d9-4f96-a05f-3790294dc49a 123 

 

成功修改admin账户密码为123

0x04

通过查看脚本CVE-2020-11444的脚本是非常简洁的

NX-ANTI-CSRF-TOKEN是已经写在脚本里面的，并且配合sessionID组合来达到越权修改密码。

前面表哥们也有写10199的复现记录，自行百度一下，其实他的原理就是数据提交本地内容没有进行加密。

因为主要是复现CVE-2020-11444，前面两个漏洞复现过程也很多，这是一套组合拳，三个exp同时来利用，可以达到最大化。

原文地址：https://blog.gxzhang.cn/20200703/12151.html

最后附上表哥的github脚本下载地址：CVE-2020-11444脚本下载